棱鏡門事件后，信息安全一再觸動國家信息安全的敏感神經。而作為國家關鍵基礎設施的神經中樞，工業(yè)控制系統(tǒng)的信息安全問題被一波又一波的黑客攻擊事件推到一個新的高度。今年2月，美國國家標準和技術研究院（NIST）發(fā)布了《增強關鍵基礎設施網絡安全的框架規(guī)范》（以下簡稱《規(guī)范》）第1版。這是棱鏡門事件后美國政府首次對國家關鍵基礎設施提出安全標準，也是奧巴馬政府2013年啟動保護關鍵基礎設施信息安全戰(zhàn)略以來的第一個基礎性框架文件。

《規(guī)范》以業(yè)務驅動指導網絡安全行動，將網絡安全風險納入到企業(yè)風險管理程序當中?！兑?guī)范》核心包括識別、保護、檢測、響應和恢復五項功能，提供全生命周期的網絡安全風險管理戰(zhàn)略。

在實施層，《規(guī)范》將網絡安全風險管理能力分為部分實施、風險告知、可重復和自適應四個級別。在內容安排上，《規(guī)范》按照功能、類和子類的順序展開，并為每個子類提供了與之對應的標準、指南和最佳實踐等資料性參考文獻。

《規(guī)范》索引了6部標準、指南和實踐，其中，與工控信息安全直接相關的有兩部，分別是ANSI/ISA-62443-2-1（99.02.01）-2009《工業(yè)自動化和控制系統(tǒng)安全：建立工業(yè)自動化和控制系統(tǒng)安全計劃》和ANSI/ISA-62443-3-3（99.03.03）-2013《工業(yè)自動化和控制系統(tǒng)安全：系統(tǒng)安全要求和安全等級》。

近年來，美國ICS-CERT接到的工控系統(tǒng)漏洞上報數(shù)量持續(xù)增加，從2010年的41個上升到了2013年的181個。其中，2013年181個漏洞報告中有177個被確認為是真實的工控系統(tǒng)漏洞，87%的漏洞可通過網絡遠程被操作利用。

《規(guī)范》的發(fā)布無疑代表了關鍵基礎設施網絡安全特別是工控系統(tǒng)安全標準的走向。特別是信息化與工業(yè)化深度融合，物聯(lián)網與云計算產業(yè)的蓬勃發(fā)展，工業(yè)控制系統(tǒng)產品越來越多地采用通用協(xié)議、通用硬件和通用軟件，并以各種方式與互聯(lián)網等公共網絡連接?！兑?guī)范》亦是針對這一趨勢制定了統(tǒng)一的、涵蓋傳統(tǒng)信息系統(tǒng)與工控系統(tǒng)的網絡安全標準。

工業(yè)互聯(lián)時代已到來，但因各國調整信息安全戰(zhàn)略導致的全球性“貿易技術壁壘”卻難以回避。中國正在加速研發(fā)制造自主可控的工控信息安全國產替代產品。目前，青島海天煒業(yè)、北京東土科技、深圳三旺通信、中科網威、上海三零衛(wèi)士、匡恩網絡等工業(yè)控制系統(tǒng)供應商與通信安全設備提供商在為用戶提供各具特色的工控信息安全產品及解決方案。

據(jù)gongkong市場研究部研究分析，從2008年到2013年，中國信息安全相關市場規(guī)模增長率一直維持在18%以上，2013年約為194億元。相比之下，工業(yè)控制系統(tǒng)信息安全市場正處于導入期，當前市場規(guī)模不到2億元。從行業(yè)應用角度分析，油氣、石化、化工、電力、冶金、煙草為工業(yè)控制系統(tǒng)信息安全的核心應用行業(yè)，其它行業(yè)規(guī)模相對較小。工業(yè)控制系統(tǒng)信息安全涉及的硬件、軟件、安全服務三大類市場中，大部分細分市場的相關信息安全服務還處于空白階段，未來有很大發(fā)展空間和廣闊前景。（GK-zly）